如何在Splunk中为事件打印行号

Question

我想在查询后在Splunk中打印事件的行数

例如：index=* host=* source=*application*该查询提供了所有事件，但是我想为每个事件打印/获取行数。我尝试了len()的Splunk查询，但对我没有用

Answer 1

实际上每个事件仅包含1行。

即使事件的大小很大，但仅是1个json响应，因此将完整响应视为1行响应。

我们可以根据字符进行查询

index=index-source host=hs* source=*appname* "TXNEnd" "SUCCESS" NOT "truncated" |where len(_raw) > 3000 |stats count by methodPath